2025年7月末、株式会社クシム（東証スタンダード：2345）と株式会社ネクスグループ（同：6634）の間で、クラウド上の情報資産に関するアクセス権限や資料管理を巡る見解の相違が表面化しました。両社はそれぞれリリースを公表し、自社の立場から経緯と見解を説明しています。
目次
問題の背景：クラウド契約の名義変更と資料へのアクセス
問題の発端は、クシムが管理していたGoogle Workspace上のアカウント（情報資産）の管理権限が、2025年初頭にその子会社ネクスソフト（現ネクスグループ傘下）へ契約名義が変更された経緯にあります。
クシムの主張によれば、旧経営陣および当時の情報取扱責任者が、自社への報告や取締役会での承認を経ることなく、クラウド契約の名義をネクスソフトへ移管したとされ、このことによりクシム側は情報資産へのアクセスを失ったとしています。
一方、ネクスグループは、自社子会社が保有する資料に対して、クシムの現代表の指示を受けた代理人弁護士がアクセスを試みたことが2025年2月中旬に判明し、その正当性や意図に疑義があるとしています。
双方の主張のポイント
クシムの主張（2025年7月30日付リリース）
-
契約名義変更は旧経営陣およびネクスソフト側が一方的に行ったものであり、現経営陣には通知や承認がなかった。
-
アクセスリクエストは、元々自社が保有していた情報資産に対する正当な代理人による閲覧確認であり、「不正アクセス」には当たらない。
-
ネクスグループによる資料提供協力が不十分であり、これにより半期報告書提出が遅延した。
-
旧経営陣とネクス側が共謀して情報資産を流出させた可能性があると見ており、調査および法的措置を検討中。
ネクスグループの主張（2025年7月29日付リリース）
-
アクセスリクエストは、限定公開設定の非公開資料に対して行われたものであり、事前の合意や連絡なく行われたことを重く見ている。
-
該当資料は同社子会社が保有・管理しており、当該アクセスは「関係者以外からの試行」と見なされる。
-
アクセスリクエストに対する問い合わせへの回答が得られていないことから、今後の調査結果により法的手続きの検討も視野に入れると明言。
現時点での事実整理と争点
-
契約名義変更の時期と正当性：クシムは2025年2月時点でも自社との契約が継続していたと主張する一方で、ネクスソフト側での名義変更が実務上は完了していたとみられる。
-
アクセスリクエストの意図と正当性：クシム側は「情報の所有権は自社にある」とする一方で、ネクス側は「アクセスは非公開資料への第三者的侵入」として懸念。
-
資料流出の有無や情報管理責任の所在：現時点で情報流出の事実は両社とも確認されていないとしながらも、双方ともに法的責任追及を検討している段階。
情報システム・法務部門への示唆
この事案は、クラウド管理権限の移行・承継の不備が深刻なガバナンスリスクとなりうることを示しています。特に以下の点での改善が求められます：
-
クラウド契約の名義・管理権限変更に関する明文化された承認フロー
-
情報資産の保有主体とアクセス権限者の整理と記録
-
経営交代時・M&A時におけるデジタル資産の棚卸・引継ぎプロセス
-
法務・代理人経由でのアクセス行為の記録保持とコンプライアンス確認
関連記事
サイバー攻撃やランサムウェアによる被害を受けた際の社内・社外対応の流れ
PostgreSQL JDBCドライバに重大な認証バイパスの脆弱性-早急なパッチ適用を推奨(CVE-2025-49146)
CISA、D-Link製EOL監視カメラ等に関する3件の深刻な脆弱性を既知の悪用済み脆弱性カタログに追加
Workiva、Salesloft Driftへのサプライチェーン攻撃で情報漏洩
【ANAグループ社員による横領】遅延欠航補償金を不正受領、総額800万円超 懲戒解雇・全額弁済も発表
TBMの元幹部ら2人、機密情報を不正に持ち出し書類送検
Google Chrome、信頼するルート証明書から中華電信とNetLockを除外
Google、Chromeの定例アップデートで高危険度の脆弱性を修正-CVE-2025-8880,CVE-2025-8901 他
Google、Geminiの「Gemini Trifecta」脆弱性を修正-プロンプトインジェクションで情報漏洩の恐れ
